マインクラフトサーバー1台を落とそうとして、インターネットを止めた大学生たち

2016年の夏、米国のある大学生がコンピューターの前に座っていました。目的はささやかなものでした。マインクラフトサーバーを1台止めたかったのです。

マインクラフトサーバーはお金になります。人が多く集まるサーバーは広告や支援で収益を上げます。だから競合サーバーが少しの間止まれば、その人たちが自分のサーバーに来ます。それを狙いました。

問題は、サーバー1台を止めるにはとてつもなく多くのコンピューターが同時に接続を浴びせなければならないということでした。学生にそれほどのコンピューターがあるはずもありません。

そこで他人のものを借りることにします。正確には、持ち主に知られずに借りることにします。

世界で最も粗末な錠前

彼が目をつけたのは他人のノートパソコンではありませんでした。ルーター、防犯カメラ、録画機のようなものでした。

こうした機械には共通点が一つあります。工場から出てくるときのパスワードが全部同じです。 IDは admin、パスワードも admin。説明書のどこかに書かれていて、ほとんどの人はそれを一度も変えません。

変えようと思わないのではありません。変えられることを知らないのです。 ある製品にはそもそも変更する機能すらありません。

事実 だからこのプログラムがやることは単純でした。インターネットアドレスを無作為に叩いてみて、扉が開いていればあらかじめ書き留めておいたID・パスワードのリストを順番に入れてみます。 root/root、admin/admin、root/123456、admin/password… こういうものです。

技術的にすごいところは一つもありません。扉を叩いて「もしかしてパスワードはadminですか?」と聞いてみることがすべてです。ところがそれが通用しました。数十万台が開きました。

プログラムの名前はミライでした。日本語で未来という意味です。

アイロニー

ここで話が少しおかしくなります。

事実 ミライを作った3人は当時DDoS防御の事業をしていました。攻撃を防ぐサービスを売りながら、同時に攻撃ツールを作っていたわけです。

消防車を運転しながら火をつけるようなものです。

そしてソースコードを公開した

2016年の秋、作った人の一人がミライのソースコードをインターネットの掲示板にまるごとアップロードしました。

捜査を逃れようという計算だったと言われています。世の中に同じプログラムが数百個出回れば、原本が誰のものなのか見分けるのが難しくなりますから。

計算は半分ほど当たりました。彼は結局捕まりました。3人とも2017年12月に有罪を認めました。

残りの半分は完全に外れました。

事実 ソースが公開されて約3週間後の2016年10月21日、ダイン(Dyn)という会社が攻撃を受けて止まりました。この会社はインターネットアドレスを探してくれる案内所の役割をしていました。案内所が止まると、Twitter、Netflix、Spotify のようなサイトに人々が接続できなくなりました。

攻撃規模は毎秒1.2テラビットと推定されました。当時記録されたものの中で最大級でした。

この攻撃はその3人がやったものではありません。 公開されたソースコードを受け取った誰かがやったものです。それが核心です。一度解き放たれたコードは回収できません。

この話を映像にもしました。1988年のモリスワームから今朝の私たちのサーバーまで、23分間、最初から最後まで追いかけます。

10年が経ちました

では、もう終わった話なのでしょうか。

事実 私たちはわざと粗末に作ったサーバーをインターネットに開いておいて、誰が入ってくるかを記録しています。直近8日間、そのサーバーに入ってきたログイン試行で最も多く使われたID・パスワードは admin / admin でした。8日間ずっと1位で、多い日は29か所から同時に同じ組み合わせを入れてきました。

事実 2位、3位も見覚えがあります。root/12345、root/1234、root/root、root/password、root/123456。10年前にミライが持ち歩いていたリストそのままです。

事実 そして8日間一日も欠かさず、私たちのサーバーに入ってきたプログラムはミライ系に分類されました。

推定 攻撃する側から見れば合理的な選択です。10年前のリストが今も通用するのに、わざわざ新しく作る理由がありません。変わっていないのは攻撃ではなく私たちの側です。

では何をすればいいのか

この話の結論は、拍子抜けするほど簡単です。

家にある機械のパスワードを変えてください。 ルーター、防犯カメラ、ネットワーク接続ストレージ(NAS)、インターネットにつながるすべてのものです。説明書に書かれているそのパスワードこそが、ミライのリストにあるそれです。

変えるついでにもう一つ。管理者ページが外から見えるかどうかを確認してみてください。ルーターの設定で「リモート管理」や「外部接続」のような項目をオフにしておけば大丈夫です。ほとんどの家庭ではこの機能は必要ありません。

大学生3人がゲームサーバー1台を落とすために作ったプログラムが、いまだに出回っています。皆さんのルーターがその次の隊員にならないようにするには、admin を消すことから始めればいいのです。